Vulnerabilidades

Resumen — últimos 7 días

Vulnerabilidades nuevas3250▲ 687 respecto a la semana anterior
Críticas / altas1530▲ 167 respecto a la semana anterior
Nueva explotación activa (KEV)5▼ 1 respecto a la semana anterior
Sin puntuar (sin CVSS)249▲ 237 respecto a la semana anterior
–

404.549 resultados, ordenados por fecha de publicación (más recientes primero)

CVEEstadoSeveridadEPSS Explotación activaTecnologías afectadasPublicada ▼Modificada Descripción
Pendiente de análisisCrítica (9.2)0.19%—Bouncycastle Bouncy CastleAI3/10/20266/10/2026
En Bouncy Castle para Java anterior a 1.86, la implementación de Messaging Layer Security (MLS, RFC 9420) no vinculaba una credencial X.509 a la signature_key de un LeafNode. LeafNode.verify() comprobaba la firma de una hoja frente a la signature_key incluida en la propia hoja, mientras que la cadena de certificados…
Pendiente de análisisAlta (8.2)0.25%—Bouncycastle LTSAI3/10/20266/10/2026
En Bouncy Castle para Java LTS anterior a 2.73.13, los cifradores de paquetes nativos de una sola pasada para AES-CBC, CCM, CFB, CTR, GCM y GCM-SIV liberaban los arrays de clave, IV y datos autenticados adicionales del llamante con ReleaseByteArrayElements de JNI en modo 0, que vuelve a confirmar la copia nativa en el…
Pendiente de análisisMedia (5.9)0.11%—BouncycastleAI3/10/20266/10/2026
En Bouncy Castle para Java anterior a 1.86, HQC filtraba datos derivados de secretos a través de dos canales laterales: su aritmética GF(2^8) utilizaba tablas de búsqueda indexadas por elementos del cuerpo, lo que hacía que la línea de caché accedida dependiera del operando, y su muestreador de soporte de peso fijo…
AplazadaMedia (6.4)0.19%—Twenty20 Image Before AfterAI3/10/20266/10/2026
El plugin Twenty20 Image Before-After para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas a través del atributo de shortcode 'offset' en todas las versiones hasta la 2.0.5 incluida, debido a una sanitización de la entrada y un escape de la salida insuficientes. Esto permite a…
AplazadaCrítica (9.1)0.53%💥 PoCFastlinemedia Beaver BuilderAI3/10/20266/10/2026
El plugin The Beaver Builder Page Builder – Drag and Drop Website Builder para WordPress es vulnerable a la ejecución arbitraria de shortcodes en todas las versiones hasta la 2.11.0.5 incluida. Esto se debe a que el software permite a los usuarios ejecutar una acción que no valida correctamente un valor antes de…
AplazadaBaja (2.1)0.43%—Linuxmint XreaderAI3/10/20266/10/2026
Se ha encontrado un fallo en Linux Mint Xreader hasta la 4.6.5. Este problema afecta a la función setup_document_content_list/g_strdup_printf del archivo backend/epub/epub-document.c del componente EPUB File Handler. Esta manipulación provoca un recorrido de directorios (path traversal). El ataque puede llevarse a…
AplazadaAlta (7.2)0.29%—Wpclever WPC Product OptionsAI3/10/20266/10/2026
El plugin WPC Product Options for WooCommerce para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas a través de la clave de array wpcpo-* mediante el nombre de campo multipart en todas las versiones hasta la 4.0.5 incluida, debido a una sanitización de la entrada y un escape de la…
AplazadaMedia (4.3)0.30%—Burst-statistics Burst StatisticsAI3/10/20266/10/2026
El plugin Burst Statistics – Simple WordPress Analytics (Google Analytics Alternative) para WordPress es vulnerable a una autenticación incorrecta que conduce a la persistencia en la cuenta en todas las versiones hasta la 3.7.1 incluida. Esto se debe a que el controlador `maybe_load_shared_dashboard()` emite una…
AplazadaAlta (7.5)0.33%—WP Visitor StatisticsAI3/10/20266/10/2026
El plugin WP Visitor Statistics (Real Time Traffic) para WordPress es vulnerable a inyección SQL genérica a través del parámetro 'fullRef' en todas las versiones hasta la 8.7 incluida, debido a un escape insuficiente del parámetro proporcionado por el usuario y a la falta de una preparación suficiente de la consulta…
AplazadaAlta (8.1)0.29%—Nelio ContentAI3/10/20266/10/2026
El plugin Nelio Content – Editorial Calendar & Social Media Auto-Posting para WordPress es vulnerable a la omisión de autorización en todas las versiones hasta la 4.5.0 incluida. Esto se debe a que el plugin no verifica correctamente que un usuario esté autorizado para realizar una acción. Esto permite a atacantes…
AplazadaMedia (6.1)0.22%—Wpfront Notification BARAI3/10/20266/10/2026
El plugin WPFront Notification Bar para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) reflejadas en las versiones hasta la 3.5.1 incluida. Esto se debe a que la ruta de salida del registro de depuración (write_debug_logs) refleja el valor en bruto de $_SERVER['REQUEST_URI'] mediante…
AplazadaAlta (7.2)0.24%—Jamesward WP Mail CatcherAI3/10/20266/10/2026
El plugin Mail logging – WP Mail Catcher para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas a través del mensaje de error 'wp_mail_failed' de PHPMailer en todas las versiones hasta la 2.1.12 incluida, debido a una sanitización de la entrada y un escape de la salida…
AplazadaMedia (6.1)0.23%—10web Photo GalleryAI3/10/20266/10/2026
El plugin Photo Gallery by 10Web – Mobile-Friendly Image Gallery para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) reflejadas a través del parámetro 'thumb_url' en todas las versiones hasta la 1.8.46 incluida, debido a una sanitización de la entrada y un escape de la salida insuficientes.…
AplazadaCrítica (9.1)0.88%—Vikappointments Services Booking CalendarAI3/10/20266/10/2026
El plugin VikAppointments Services Booking Calendar para WordPress es vulnerable a la eliminación arbitraria de archivos debido a una validación insuficiente de la ruta de archivo en la función extract en todas las versiones hasta la 1.2.21 incluida. Esto permite a atacantes no autenticados eliminar archivos…
AplazadaAlta (7.5)0.70%—Themewinter WpcafeAI3/10/20266/10/2026
El plugin WPCafe – Restaurant Menu, Online Food Ordering & Table Booking System para WordPress es vulnerable a la inclusión de archivos locales (LFI) en todas las versiones hasta la 3.0.18 incluida a través de la función (template scope). Esto permite a atacantes autenticados, con acceso de nivel colaborador o…
AplazadaAlta (8.8)0.37%—Smart ManagerAI3/10/20266/10/2026
El plugin Smart Manager – Advanced WooCommerce Bulk Edit & Inventory Management para WordPress es vulnerable a inyección SQL genérica a través del parámetro 'access_privileges' en todas las versiones hasta la 8.97.0 incluida, debido a un escape insuficiente del parámetro proporcionado por el usuario y a la falta de…
AplazadaMedia (6.4)0.19%—Responsive PlusAI3/10/20266/10/2026
El plugin Responsive Plus – Elementor Templates & Starter Sites para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas a través de atributos de shortcode en todas las versiones hasta la 3.5.3 incluida, debido a una sanitización de la entrada y un escape de la salida insuficientes.…
AplazadaMedia (5.3)0.36%—Themewinter WpcafeAI3/10/20266/10/2026
El plugin WPCafe – Restaurant Menu, Online Food Ordering & Table Booking System para WordPress es vulnerable a la omisión de autorización en todas las versiones hasta la 3.0.19 incluida. Esto se debe a que el plugin no verifica correctamente que un usuario esté autorizado para realizar una acción. Esto permite a…
AplazadaMedia (6.1)0.21%—Wpclever WPC Estimated Delivery DateAI3/10/20266/10/2026
El plugin WPC Estimated Delivery Date for WooCommerce para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) reflejadas a través del parámetro 'rule_data' en todas las versiones hasta la 4.0.1 incluida, debido a una sanitización de la entrada y un escape de la salida insuficientes. Esto permite…
AplazadaMedia (5.4)0.27%—Wpmet WP Ultimate ReviewAI3/10/20266/10/2026
El plugin The WP Ultimate Review para WordPress es vulnerable a la ejecución arbitraria de shortcodes en todas las versiones hasta la 2.4.3 incluida. Esto se debe a que el software permite a los usuarios ejecutar una acción que no valida correctamente un valor antes de ejecutar do_shortcode. Esto permite a atacantes…
AplazadaMedia (5.4)0.22%—Wpmobile APPAI3/10/20266/10/2026
El plugin WPMobile.App – Android and iOS App Builder para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas a través del parámetro 'REQUEST_URI (path segment after /android_json/search/)' en todas las versiones hasta la 11.84 incluida, debido a una sanitización de la entrada y un…
AplazadaMedia (6.5)0.28%—Wpmet WP Ultimate ReviewAI3/10/20266/10/2026
El plugin The WP Ultimate Review para WordPress es vulnerable a la ejecución arbitraria de shortcodes en todas las versiones hasta la 2.4.3 incluida. Esto se debe a que el software permite a los usuarios ejecutar una acción que no valida correctamente un valor antes de ejecutar do_shortcode. Esto permite a atacantes…
AplazadaMedia (6.4)0.19%—Wpmet WP Social Login AND Register Social CounterAI3/10/20266/10/2026
El plugin Wp Social Login and Register Social Counter para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas a través del atributo alt del avatar mediante la escritura arbitraria de metadatos de usuario en todas las versiones hasta la 3.2.1 incluida, debido a una sanitización de la…
AplazadaAlta (7.2)0.27%—Wp-buy Visitor Traffic Real Time StatisticsAI3/10/20266/10/2026
El plugin Visitor Traffic Real Time Statistics para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas basadas en DOM a través de la cabecera HTTP 'X-Real-IP' en todas las versiones hasta la 8.16 incluida, debido a una sanitización de la entrada y un escape de la salida…
AplazadaAlta (7.5)0.37%—Simple-membership-plugin Simple MembershipAI3/10/20266/10/2026
El plugin Simple Membership para WordPress es vulnerable a la modificación no autorizada de datos y a la divulgación de información confidencial en las versiones hasta la 4.8.3 incluida a través de los endpoints resend-activation y email-activation. Los endpoints se despachan desde…